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The invention relates to a method for securing an executable program and especially the program for 
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persons. 
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EP 0 568 438 ' ' 

Die Erf indung betrifft ein Programm zur Sicherung von aus- 
ftthrbaren Prograitimen gegen die Benutzung ; durch eine unbefugte 
Person. ■ 

Die Erfindung betrifft alle durch Datenverarbeitungsvorrich- 
tungen ausftihrbaren Programme. Sie betrifft insbesondere Pro- 
gramme/ die die Herstellung einer Verb indung mi t einem Infor- 
matiksystem ermSglichen, ' wie dies zum Beispiel mit dem Be- 
triebssystem. DOS und noch mehr mit dem Betriebssystem UNIX 
der Fall ist, das allgemein in' den Arbeitspiatzen verwendet 
wird. Es wird daran erinnert, dafi man unter Arbeitsplatz ein- 
zelne zugeordnete Gerate groiier Rechenkapazitat versteht, die 
Anwendungen wie z.B. CAO ermSglichen und im allgemeinen mit 
dem Betriebssystem arbeiten. 

Es ist ,n$mlich ttblich, dafldie Verbindung mit einem Arbeits- 
platz liber ein ausfuhrbares UNIX-Verbindungsprogramm herge- 
stellt wird. 

Das erfindungsgemafle Verfahren wird vortei^lhafterweise fur 
die Sicherung solcher Verbindungsprogramme verwendet, 

Es wird weiter daran erinnert, daft bei Arbeitspl&tzen das 
Verbindungsprogramm ausgefUhrt wird, urn einen Dialog zu in- 
itial'isieren. Hierzu gibt ein Benutzer Uber die Tastatur ei- 
nen ihm eigenen Benutzernamen und ein Pafiwort ein, das ihm 
zugeteilt wurde. Die Pafiw6rter und die Benutzernamen der Per- 
sonen, die berechtigt sind, sich zu verbinden, sirid dem Sy- 
stem bekannt. Wenn es eine Obereinstimmung zwischen den vor- 
her gespeicherten und den liber die Tastatur eingegebenen In- 
formationen gibt, wird das Verbindungsprogramm ausgefUhrt und 
die Verbindung wird hergestellt. 

Dl: GB-A-2, 205 667 (NCR Corporation) betrifft ein Kontroll- 
verfahren eines Sicherheitsmoduls, das insbesondere zur tiber- 
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prttfung persCnlicher Identif ikationscodes (PIN) oder zur Zu- 
grif fskontrolle anwendbar. 1st . Beider Initialisierun^ wird .' 
eine beliebige ^Zahl KSK in einem Register gespeichert - das . 
auf - Null zurttckgestellt wer'den kann, wenn ein Einbruch f est- 
gestellt wird -.. Dann wird ein. Zugrif fsberechtigungsschlllssel 
KA an den Modiii angewendet, der mitteis KSK verschllisselt 
wird, z.B. indem eine DES-VerschlUsseluhg. an das Paar KSK-KA 
angewendet und in einen geschutzten Speicher 36 geladen wird, 
Schliefilich. wird das ursprtlngliche Programmpaket in den Pro- 
. grammspeicher, geladen . 

Vor je.dem Laden eines ver&nderten Programmpakets wird ein 
entsprechender Zugrif fsberecl^tigungswert FAV berechnet und 

v gleiohze'itig in den Speicher geladen. Ein im Modul befindli- 
cher Prpzessor berechnet den Zugrif fsberechtigungswert FAV 

■ neu mitteis des gespeichbrten Zugrif fsberechtigungsschlUssels 
KA. Der so erhaltene Wert FAV wird mit dem Wert FAY vergli- 
chen, urn die Ladung.des veranderten Programmpakets zu berech- 
tigen. 

EP-A-0 339 115 (Siemens) beschreibt ein Schutzverfahren fUr 
ein Programm, gemaii dem ein erster Datensatz (pi) , der yon 
Merkmalen de3 Systems (Ml) und dem Programm zugeteilteh At- 
tributdaten (Al, A2) gebildet wird r codiert wird, urn einen 
zweiten. Datensatz. zu/bilderi, der es ermdglicht, die Anwendung 
des Programms: freizugeben. 

US-A-4.944 008 (PIOSENKA et al . ) betrifft ein elektronisches 1 
Datensperrsystem, das die Daten in Abhangigkeit von einem va- 
riablen Schliissel verandert, der. mit Hilfe einer pseudozuf'ai- 
ligen Zahl und einer SchlUsselvariablen erhalten wird. 

Es hat sich aber herausgestellt,. daS solche Schutzvprrichtun- 
gen nicht unfehlbar 1st, da es zu haufig vorkommt, daii unbe- 
rechtigte Personen die Verbindungen herstellen kSnnen. 



Die vorliegende Erf indung ermbglicht die L6sung dieser Aufga- 

beV - 

Sie hat ein Sicherungsverfahren fUr ein beliebiges mit Daten- 
verarbeitungsvorrichtungen ausftihrbares Programm und insbe- 
sondere ein Sicherungsverfahren ftir das Programm zur Verbin- 
dung mit einem Arbeitsplatz zum Gegenstand. 

Die vorliegende Erf indung hat inSbesondere ein Verf ahren zur 
Sicherung eines durch Datenverarbeitungsvorrichtungen aus-^ 
fiihrbaren- Programme gegen jede Benutzung. durch eine unberech- 
tigte Person zum Gegenstand. 

Das Verf ahren ist im Anspruch 1 definiert. 

Ein entsprechendes System ist im Anspruch 7 definiert. 

Weitere Merkmale und Vorteile der Erf indung gehen aus der de- 
taillierten Beschreibung hervor, die nur beispielhaft und 
nicht einschrankend zu verstehen ist. Diese Beschreibung be- 
zieht sich auf die beiliegenden Zeichnungen, in denen: 

Figur 1 ein allgemeines Schema der erfiridungsgem&fien Siche- 
rungseinheit darstellt; 

Figur 2 ein Organisationsschema eines erfihdungsgem&fcen Pro- 
grammspeichers darstellt; 

Figur 3 eine Tabelle zeigt, die die Austauschvorgange zwi- . 
schen einer Chipkarte und Verarbeitungsvorrichtungen- dar- 
stellt. ' . . . ' ■ 

Figur 1 zeigt Verarbeitungsvorrichtungen 1, die in Form eines 
mit einer Tastatur 2 verbundenen Mikrocomputers Oder Arbeits- 
platzes dargestellt sind. Nattirlich kdnnen diese Verabei- 
tungsvorrichtungen ein beliebiges anderes Informatiksystem 
sein, das ein Programm zur Sicherung gegen unbefugte Benut- •' 



zuhgen ausfUhren kann.. Zur Vereinf achiing, wird nachfolgend von 
"System gesprochen. 

Der. Programmspeicher wird durch. einen. Bereich. mi t dem Bezugs- 
zeichen 3 symbolisch dargestellt und* ist in Figur 2 detail- 
lierter gezeigt. 

In diesem Programmspeichetr. 3 sind ein dder mehrere Programme 
gespeichert* Die * Aus'fUhrung mindestens eines dieser Programme 
, ist so gesperrt, daft es nur von berechtigten Personen. gestar- 
tet werden kanh. Hierzu enthait das ausfUhrbare Programm P 
einen in einem Bereich ZA zufailiger Daten versteckten 
S.bhlUsset/ genannt HauptschlUssel, der hur vori einer berech- 
tigten Person entschlUsselt werden kann, . ■ 

Der HauptschlUssel 1st ein zufailiger. Datenwert, , der vom be- 
rechtigten Beinutzer zum Zeitpunkt der Installierung des Pro- 
gramms in das System eingegeben wird und der an einer Adresse 
in diesem Bereich ZA versteckt ist, die durch VerschlUsselung 
erhalten wird. Die Adresse wird ausgehend vom HauptschlUssel 
und einem fur das Programm esindeutigen Datenwfert verschlUs- 
sett . 

Die VerschlUsselung der Adresse besteht zum Beispiel darin, 
einen Algorithmus DES (oder RSA) an den vom HauptschlUssel 
und. vom fUr das Programm eirideutigen Datenwert gebiideten Da- 
; tenwert anzulegen. , 

Gemafi einem bevorzugten AusfUhrungsbei?piel besteht der fUr 
das Programm eindeutige Datenwert aus dem Datum der Instal- 
lierung des Programms in das System, Datum, das vom System 
gegeben wird und das nur fUr dieses.. Programm gilt, da es die 
Stunde, die Minuten und die Sekunden berUcksichtigt, und da 
die Wahrsche'inlichkeit, das gleiche Datum zu erhalten, prak- 
tisch Null ist. 



Geirtafi' einem. bevorzugten Aus ftthrungsbei spiel 1st aufierdem de 
SchlUssel. im Bereich ZA in zufailiger Weise aufgesplittert. 



Der SchltisseJ. erithaitn Bytes- Jedes Byte ist in diesem Be- 
reich ah einer Adresse verteilt, die daher auch aufgesplit- 
tert ist. Die Adresse jedes Bytes entspricht einem Byte des 
Ergebnisses der Verschlttsselungsrechnung. Man kann sich auf 
das Schema der Figur 2 beziehen, in dem als Beispiel die 
Standorte AD von acht Bytes eines Hauptschltissels -mit acht 
Bytes im Bereich ZA dargestellt sirtd. 

Per eihd^utige Datenwert, das heifit das .Instailierungsdatum, 
ist an einer dem System bekannten, aufgesplitterten, aber f e- 
steh Adresse im Bereich ZA gespeichert, so daft das System den 
Hauptschltissel zum gegebenen Zeitpunkt wiederf inden kann/ 

Wenn in einem System ein Programm auf diese Weise gesichert 
ist, haben die berechtigten Benutzer tiber den Austausch ge- 
heimer Inf ormationen die MSglichkeit, die Ausftihrung dieses 
Programms in der nachfolgend beschriebenen Weise freizugeben. 

So besitzt praktischerweise jeder Benutzer eine Speicherkar- 
te, auf der ein nur dem Karteninhaber bekannter Geheimcode, 
ein dem Karteninhaber ebenfalls bekannter Benutzer 5 name und 
, ein geheimer ReferenzschlUssei gespeichert sind, . , 

Wenn eine berechtigte Person die Ausftihrung des gesicherten 
Programms starten mochte, ftihrt diese Person ihre Karte 22 in 
das Leseger&t 20 ein, das mit dem System 1 verbunden ist, und 
dann gibt er tiber die Tastatur 2 . des Systems sei'nen Geheim- 
code und selnen Benutzernamen ein. Dann werden tiber das Lese- 
gerat Austauschvorg&nge zwischen dem System und der Karte 
durchge ftihrt. Diese Austauschvorgange sind in der Tabelle der 
Figur 3 dargestellt, und sie sollen die Entschltisselung des 
Hauptschltissels durch eine beliebige berechtigte Person 
durchftihren, die folglich zugrif f sberechtigt und befugt ist. 
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Der HauptschlUssel CCL.M.j ist wie oben beschrieben\im Be- 
reich ZA versteckt. 

Das System berechnet deh ReferenzschlUssel CL.REF ausgehend 
von CL.M. und der ,auf der Karte -gelesenen Serieiihummer . 

. CL.REF = f(CL.M, Sejriennummer) . , 

Die Funktion f wird vorzugsweis.e filr alle Verschlttsselungs- 
.rechnungen durch einen Algorithmus der Art DES Oder RSA 
durchgeftihrt . 

Nach dieser ersten Berechnung schickt das System einen ersten 
zufalligen Datenwert Alea 1 an die Karte. 

Die Karte errechnet ein VeorschlUsselungsergebnis Re 'ausgehend 
von Alea 1 und CL.REF. . 

Das System errechnet seinerseits ein Ergebnis Rs, derart, 
dafl: ' ■ • - 

Rs = f (CL.REF, Alea 1) 



Das - System empfangt von der Karte einen zweiten zufalligen 
Datenwert Alea 2 und das Ergebnis Rc. 

• Das System vergleicht Rs und Rc. Wenn.diese Ergebnisse gleich * 
sind, wird die. Karte zugrif f sberechtigt, sons t wird sie zu- 
rUcKgewiesen. Anschlieiiend niirimt man Rs = Rc = R. . 

Das System errechnet dann einen Dialogschltissel S. 



S = f (R, Alea 2) 



Das System- schickt dann einen verschlUsselten Datenwert Data 
an die Karte, so dafl: 



Data - f' 1 (S, Code, Sec), wobei r 1 der Kehrwert von f 1st. 



Die Karte errechnet dann ein Ergebnis Rd, so dafi: 

Rd = f (Data, S) 

Die Karte vergleicht die gfespeicherten Datenwerte Rd und 
Code. Sec, urn zu wissen, ob der vom Benutzer eingegebene Code 
mit dem auf der Karte identisch ist. 

Wenn dies der Fall ist, wird der Benutzer zugrif f sberechtigt ♦ 
Es gibt in defc Tat eine gegenseitige Zugrif f sberechtigung 
zwischen dem System und dem Karteninhaber . 

Das System errechnet dann ein Ergebnis Rn derart, dafi: 

Rn = f (NOM, S) 

Der Datenwert NOM ist der auf der Karte gespeicherte Benut- 
zername. 

Das Ergebnis Rn wird zum System Ubertragen, das den Datenwert 
NOM entschltlsselt, indem es die Funktion f" 1 (Kehrwert von f) 
anwendet . 

r 1 (Rn, S) - NOM 

Wenn der . entschliisselte Datenwert NOM gleich dem vom Benutzer 
eingegebenen Datenwert- NOM ist, ist dieser Benutzer befugt. 

Wenn die Zugrif f sberechtigung stattgefunden hat, wird das 
Programm ausgrefllhrt. 

; Bei der Installierung des so geschtttzten Programms verfttgt 
der Monteur Uber eine Installierungskarte/, die es erm6glicht, 
den Hauptschiassel zu speichern, den der berechtigte Benutzer 
Uber die Tastatur in das System- eingegeben hat und der im Be- 
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reich Zh gespqiQhert 1st, uhd den Referenzschltissel ausgehend 
von diesem Hauptschllissel. und der Seriennummer der Karte zu 
berechneri, die dem Behutzer ttbefgeben wird. Die InstailieT c 
ruhgskarte. wird verweridet; um die Benutzerkarten; zu erstel- 
leh> Diese Installierungskaxte .witd-'ntolich verwendet, um die 
Identif ikationsinformationen. der Karte : und ihres inhabers. zu 
speichern, d.h. : der Geheiiticode, der Benutzername, der , Refe- 
renzschlUssel. 

Wie oben gesagt, wird das, Programm insbesondere fUr Arbeit s- 
piatze angewendet. £s ermSglicht ium Beispiel in diesem Fall, 
den Zugriffsmodus zum Arbeitsplatz :zu sichern, wobei das ge- 
sicherte ausfiihrbare Programm dann das Verbindungsprogramm 
ist. 

Das Verfahren kann auch im Fall eihes gemieteten Programms 
verwendet werderi, um eine Kqntrolle der Anzahl von Benutzun- 
gen des Programms durch eirifaches ZShlen der Zugriffe auf 
dieses Programm durchzufiihren und den Zugrif f und somit die. 
Ausftihrung zu sperren,- wenn die Anzahl von Benutzungen einen* 
vorher eingegebenen Grenzwert Uberschritten hat, der vom . . 
Mietverttag vbrgesehen wurde • 
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Anspruche 



1. Verfahren zur Sicherung eines Programms (P) , das durch Da- 
tenverarbeitungsvorrichtungen <i) ausfuhrbar ist, gegen 
jede Verwendung durch unberechtigte Per semen, dadurch ge- 
kennzeichnet, dafi es die folgenden Schritte umfafit: 



A) zum Zeitpunkt der Installierung des Programmes 

- Auswahl und EinfUhrung eines Hauptschltissels (CL.M) 
durch einen berechtigten Benutzer zum Sperren der Aus- 
fuhrung des Programmes, 

- Berechnen einer Speicheradresse des HauptschlUssels in- 
nerhalb eines Blocks (Z.A) von im ausftlhrbaren Programm 
enthaltenen Zufallsdaten durch VerschlUsselung,. wobei 
die Berechnung der Speicheradresse des Hauptschltissels 
darin besteht, diesen Hauptschltlssel mit einem fUr das 
Programm eindeutigen Datenwert mittels eines Verschltis- 
selungsalgorithmus (DES) zu verschlusseln, wobei das 

Ergebnis n Bytes aufweist, 

- Speichern dieses Hauptschlussels an dieser Adresse, 

B) wahrend der Benutzungen , 

- Entschltisseln der Adresse des Hauptschltissels aus Iden- 
tifikatiohsinformationen und/oder Zugrif fsberechti- 
gungsinformationen der Person, die die Ausfuhrung des 
Programms starten will, wobei die Identif ikation 
und/oder Zugrif fsberechtigung besteht in: 

Ausgabe einer Chipkarte an jedeh berechtigten Benutzer, 
auf der vorher Identif ikations- und/oder Zugrif fsbe- 
rechtigungsinformationen der Karte und des Inhabers ge- 
speichert wurden, wobei diese Infbrmationen umfassen: 
- - die Seriennummer der Karte, 
- einen Identif ikationsnamen des Karteninhab'ers, 



. einen dem Inhaber bekannten Geheirocode, 
*- einen Ref erenzschltlssel (CL.REF), der> von dem Haupt- 
. schltlssel abhangt, . . . . 

Identif ikation und/oder Zugrif fsberechtigung der Per- 
son, werxn die EntschlUsselung zumi Start der Ausftihrung 
des Programms\ erf olgreich. durchgeftihrt wurde, wobei .die 
Karte den Geheimcode, der durch die. Person eingegeb.en 
> wurde, mit einem berechneten Datenwert vergleicht. 

Sicherungsverfahren nach Anspruch . 1, . bei dem der Haupt- 
: schltlssel ein Zuf allsdatenwert mit n Bytes ist, der zuf Sl- 
lig durch das ausftihrbare. Programm ausgewahlt wird. 

Sicherungsverfahren nach einem der vorhergehenden Ansprti- 
.che, bei dem. der Hauptschlttssel im Block von Zufallsdaten 
in' mehrere Adressen aufgespilittert ist> 

Verfahren nach dem vorhergehenden Anspruch, bei dem der 
Schltlssel derart aufgesplittert ist, dafi jedes Byte sich 
an der Adresse befindet, die durch jedes Byte von n Adres- 
senbytes gegeben ist, die durch VerschlUsseiung erhalten ; 
wurden, . : . 

Verfahren nach einem der vorhergehenden AnsprUche, bei deiri 
. der eindeutige Datenwert jedes Programms dessen Installa- 
tiohsdatum in die Verarbeitungsvbrrichtungen ist. 

Verfahren nach- einem der vorhergehenden AnsprUche, bei dem 
■ der Schri-tt der Identif ikation und/oder Zugriff sberechti- 
gung darih besteht, eine gegenseitige Zugrif fsberechtigung 
zwischen der Karte und dem System herzustellen, und fUr 
die. Karte besteht in: 

- ttbertragen der Seriennummer der Karte an die Verarbei- 
tungsvorrichtungen, . 

- Berechnen eines ersten ErgebnisseS durch Vers chlUsseln 
des residenten SeferenzschlUssels und eines ersten emp- 

'■[' fangenen Zuf allswerts,. 



-Berechnen eines zweiten Ergebnisses (S) durch Verschltls- 
seln des vorhergehenden Ergebnisses und eiries zweiten 
Zufallswerts, und Ob'ertragen des ersten Ergebnisses und 
des zweiten Zufallswerts, 

- Berechnen. des Geheimcodes durch VerschlUsseln ausgehend 
von einem empfangenen Datensatz (Data) und dem zweiten 
Ergebnis, 

- Vergleichen des durch die Besechnung erhaltenen Geheim- 
codes mit dem resident en Geheimcode, 

- Zugriffsberechtigung des Benutzers, wenn die beiden 
Codes identisch sind, 

- ttbertragen des Namens des Karteninhabers in verschlUs- 
selter Form, 

und fUrdie Verarbeitungsvorrichtungen besteht in: 

- Berechnen des ReferenzschlUssels durch VerschlUsseln der 
Seriennummer ausgehend vom HauptschlUssel, 

- tfoertra^en eines ersten Zufallswerts, 

-Berechnen eines Ergebnisses durch VerschlUsseln des er- 
sten Zufallswerts und des erhaltenen Referenzschlttssers, 

- Vergleichen dieses Ergebnisses mit dem ersten auf der 
Karte erhaltenen Ergebnis, 

- Berechnen eines DialogschlUssels durch VerschlUsseln des 
Ergebnisses und des zweiten Zufallswerts, 

- Berechnen eines Datenwertes (Data) durch EntschlUsseln 
des DialogschlUssels und des vom Benutzer eingegebenen 
Geheimcodes, 

- Obertragen dieses Datenwertes (Data) auf die Karte, 

- Entschltisseln des von der Karte empfangenen Namens und 
Vergleich mit dem eingegebenen Nameh. 

Gesichertes Informatiksystem mit Datenverarbei tungsvor- 
. richtungen (1) mit einem Programmspeicher, in welchem ein 
oder mehrere ausfUhrbare Programme gespeichert sind, wobei 
die Vorrichtungen mit einer Tastatur und einem Kartenlese- 
gerat verbunden sind, dadurch gekennzeichhet, dafl 
der Programmspeicher einen Bereich umfafit, in dem minde- 
stens ein~, ausfUhrbares Programm (P) gesichert 1st, dessen 



Ausftthrung riur bei Berechtigung stattfinden- kann, 
das Programm daftir einen Hauptschltissel (CL.M) enth&lt, 
der ,vom berechtigten Benutzer zuifi Zeitpunkt der Installa- 
tion des Programms ausgewahlt und eingegeben und an einer 
yerschltisselteri Adresse innerhalb eiries Blocks (Z.A) von 
Zufallsdaten in dem .Bereich gespeichert wird, in dem das 
Programm gespeichert ist, wobei die Berechnung der Spei- 
cheradresse des Hauptschltissels darin besteht, diesen 
Hauptschltissel mit einem ftir das Programm eindeutigen Da- 
tenwert mittels eiries VerschlUsselungsalgorithmus zu ver- 
schltis^eln, wobei das Ergebnis n Bytes aufweist, 
und dafl die Karten der berechtigten Benutzer aufier der Se 
riennummer der Karte, einen identifikationsnamen des Kar- 1 
teninhabers, einen dem Inhaber be karm ten Geheimcode und 
einen Referenzschltissel (CL.REF) enthalten, der vom Haupt 
schltissel abhingt, wodUrch es den Verarbeitungsvorrichtun 
gen ermdglicht wird, die Adresse des Hauptschltissels zu 
entschltisseln und den Karteninhaber zu identifizieren .." 
und/Oder zugrif f sberechtigt zu machen und so die AusfUh- 
rung des Programms freizugeben, wenn der Inhaber seinen 
Geheimcode. und seinen Benutzernamen eingegeben und die 
Karte den Geheimcode , der durch die Person eingegeben wur 
de, mit einem berechneten Datenwert verglichen hat. 

Ihformatiksystem nach Anspruch 7, dadurch gekennzeichnet, 
daB die Verarbeitungsvoirrichtungen einen Arbeitsplatz ent 
ha It en. 
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2/2 



FI63 



Geheimcode 

i 



Name : 



SYSTEM 



Ct.M 



CL.REF =OES(Cl.M r Serien-Nr. 
Rs = DES{CLREF,Alea1) 
R.s sRcsR 

S=QES(R,Alea 21 
DATA = OES" 1 { S, Code Sec ) 

OES- 1 (Rn,S) = NOM 



Alea 1 



Alea2 



♦Rc ' 
Data _ 



Rn 



KARTE 



Code. Sec 
NOM 
CL.REF 
Serie'n-Nr. 



Speicher 



Rc = DES( CL.REF, Aleal) 
SsOES{R,Alea2) 
DES(bata,S) =Rd 
Rd = Code. Sec. 
DES(N0M,S) =Rn 



Blank ( usp t 0) 



